Quelles données de votre entreprise peuvent aller dans quel outil d'IA ?

Une règle sur l’IA qui dit seulement ce qui est interdit ne règle rien : elle laisse chacun décider seul au moment où il est pressé, et il prend l’outil qu’il connaît déjà.

Vos équipes utilisent probablement déjà l’IA. La question utile n’est donc pas de savoir s’il faut l’autoriser, mais quelles données peuvent entrer dans quel type d’outil, et pour lesquelles vous n’avez encore rien prévu.

Je pars des données plutôt que des outils, parce que les outils changent vite alors que vos familles de documents restent les mêmes : contenu public, documents internes, données clients, finances et RH, contrats sous NDA. Quatre types d’outils suffisent pour décider : un compte gratuit ou personnel d’un assistant grand public, une offre professionnelle payante d’un fournisseur cloud, un service hébergé en Europe, un modèle qui tourne sur votre propre matériel. Ce qui les distingue, c’est ce qui arrive aux données : qui les traite, où, sous quel contrat, et si le fournisseur peut s’en servir pour entraîner ses modèles. Je fais tourner des modèles locaux sur mon matériel, pour la maîtrise avant tout. Avec eux, la question « où vont les données ? » ne se cherche pas dans des conditions d’utilisation. Tous les cas ne justifient pas ce choix, et le coût compte, mais c’est l’une des quatre cases.

Entre les deux, tout se joue sur le contrat, et je les propose ici comme des vérifications à faire, pas comme une certitude juridique. Un accord de traitement des données est-il en place avec le fournisseur ? S’interdit-il d’entraîner ses modèles sur vos données sans votre accord ? Pour un contrat client sous NDA, une vérification de plus : le texte autorise-t-il un tiers à traiter le document ? Dès que ce sont des données personnelles de clients ou de salariés, le RGPD s’applique quel que soit l’outil. Tout ceci est de l’information générale, pas un avis juridique, et pour les familles sensibles la règle mérite une relecture par un juriste.

L’exercice de ce lundi tient en quinze minutes :

1. Demandez à trois personnes quel outil d’IA elles ont ouvert la semaine dernière, et pour quel type de document. Posez la question par curiosité, pas comme un contrôle, sinon vous n’aurez que des réponses prudentes.
2. Rangez les documents cités dans les familles ci-dessus.
3. Pour chaque famille, écrivez dans lequel des quatre types d’outils elle peut aller.
4. Repérez les cases vides : les familles pour lesquelles aucun outil n’est autorisé.

Ce sont les cases vides qui comptent. Une famille de données sans outil autorisé reste utilisée, simplement avec l’outil gratuit que la personne connaît, hors de votre vue. Je ne crois pas qu’une entreprise puisse se passer de l’IA sans perdre en rapidité et en accès à des compétences qu’elle n’a pas en interne, donc mon point de départ n’est pas l’interdiction : c’est de donner à chaque famille un endroit où aller. L’usage non déclaré dit aussi quel outil vos utilisateurs les plus avertis préfèrent, et je les interrogerais avant d’écrire la règle.

J’ai préparé un outil gratuit qui dresse cette carte à partir de vos réponses et en tire un brouillon de règle à adapter pour votre équipe.

Dresser la carte données × outils

Quelle famille de données n’a aujourd’hui aucun outil autorisé chez vous ?